Azure AD B2C密码到期

Question

我们在解决方案中使用Azure AD B2C,并采用"注册或登录"策略.定期(我没有计算确切的天数),当我尝试登录时,我得到:"用户名或密码无效".我必须重置密码才能使其正常工作.

所以我有两个问题:

• 是否有默认密码到期策略？Azure B2C Connect上的功能请求之一是启用此类自定义过期策略的定义,但我没有在文档中找到默认设置到位的事实.有没有办法删除此默认行为(即没有过期)？

• 该消息"无效的用户名或密码"是误导性的,应该是"您的密码已过期".有什么方法可以改变吗？

谢谢 !

Answer 1

是否有默认密码到期策略？

对于B2C本地帐户:

注意:只能通过注册或AAD Graph API创建本地帐户.您无法通过单击作为B2C租户的AAD中的新用户来创建它.

默认情况下,本地帐户没有密码过期策略.Azure AD B2C的注册,注册或登录以及密码重置策略使用"强"密码强度,并且不会使 Azure AD B2C中本地帐户的任何密码到期.您可以在此常见问题中看到此信息.

但是,您可能会遇到一些B2C本地帐户用户密码过期的情况.

• 默认情况下,如果本地帐户是由内置密码策略创建的,则此策略将passwordPolicies属性设置为DisablePasswordExpiration.所以B2C本地用户的密码不会过期.

• 但是,如果本地帐户由自定义策略或Azure AD Graph API创建,则必须将该passwordPolicies属性设置为DisablePasswordExpiration手动.

因此,如果您未设置密码策略的属性,如果您的本地用户密码可能在90天后过期而不通知DisablePasswordExpiration.

有没有办法删除此默认行为(即没有过期)？消息"无效的用户名或密码"具有误导性,应该是"您的密码已过期".有什么方法可以改变吗？

本地账户的解决方案:

1. 您可以参考此示例,通过AAD Graph API创建没有密码到期的B2C本地用户:

   POST https://graph.windows.net/contosob2c.onmicrosoft.com/users?api-version=1.6
   Authorization: Bearer eyJhbGciOiJSUzI1NiIsIng1dCI6IjdkRC1nZWNOZ1gxWmY3R0xrT3ZwT0IyZGNWQSIsInR5cCI6IkpXVCJ9.eyJhdWQiOiJod...
   Content-Type: application/json
   Content-Length: 338
   {
   // All of these properties are required to create consumer users.
   "accountEnabled": true,
   "signInNames": [                            // controls which identifier the user uses to sign in to the account
       {
           "type": "emailAddress",             // can be 'emailAddress' or 'userName'
           "value": "joeconsumer@gmail.com"
       }
   ],
   "creationType": "LocalAccount",            // always set to 'LocalAccount'
   "displayName": "Joe Consumer",                // a value that can be used for displaying to the end user
   "mailNickname": "joec",                        // an email alias for the user
   "passwordProfile": {
       "password": "P@ssword!",
       "forceChangePasswordNextLogin": false   // always set to false
   },
   "passwordPolicies": "DisablePasswordExpiration"
   }
   

2. 更新密码受影响的用户政策的财产是DisablePasswordExpiration与PATCH通过AAD图形API方法,你可以参考本文档更新您的B2C用户.

3. 要求所有受影响的B2C用户更改其密码.

对于社交帐户:

密码到期时间取决于身份提供商的密码策略.AAD也可以是AAD B2C中的身份提供者.

AAD密码过期策略仅适用于工作或学校帐户.可用的密码策略设置,可应用于在Azure AD中创建和管理的用户帐户.

因此,如果您将AAD作为AAD B2C的社交帐户,则密码过期策略将影响这些社交帐户.

AAD社交账户的解决方案:

如果您的帐户是Azure AD中的社交帐户,请使用您的公司管理员凭据连接到该租户.执行以下命令之一:

1. 要将一个用户的密码设置为永不过期,请使用用户主体名称(UPN)或用户的用户标识运行以下cmdlet: Set-MsolUser -UserPrincipalName <user ID> -PasswordNeverExpires $true

2. 要将组织中所有用户的密码设置为永不过期,请运行以下cmdlet: Get-MSOLUser | Set-MsolUser -PasswordNeverExpires $true

您可以在本文档中查看有关Azure AD中的密码策略的更多详细信息.